Azure Veri Paylaşımı rolleri ve gereksinimleri

Bu makalede, Azure Veri Paylaşımı hizmetini kullanarak veri paylaşmak ve almak için gereken roller ve izinler açıklanmaktadır.

Roller ve gereksinimler

Azure Veri Paylaşımı hizmetiyle, veri sağlayıcısı ile tüketici arasında kimlik bilgileri alışverişi yapmadan verileri paylaşabilirsiniz. Azure Veri Paylaşımı hizmeti, anlık görüntü tabanlı paylaşım için Azure veri deposunda kimlik doğrulaması yapmak için Yönetilen Kimlikler 'i (eski adıYLA MSI) kullanır.

Azure Veri paylaşımında paylaşımlar oluşturmak için kullanıcının şu izinlere sahip olması gerekir:

• Veri paylaşımı hesabı izinleri: Katkıda Bulunan
• Depolama kaynak grubu: Okuyucu (Depolama hesaplarınızın veya veritabanlarınızın yaşadığı kaynak grubundaki okuma izinleri, portalda bunlara göz atma izninizdir.)
• Kaynağa bağlı olarak kaynak izinleri:
  • Depolama ve veri gölü paylaşımı
  • Azure SQL paylaşımı
  • Azure Synapse analiz paylaşımı

Depolama ve veri gölü paylaşımı

* Bu izin Sahip rolünde var.

Azure depolama alanıyla ve Azure Data Lake Storage'dan paylaşım hakkında daha fazla bilgi için Azure Blob Depolama ve Azure Data Lake Storage'dan veri paylaşma ve alma makalesine bakın.

SQL veritabanı paylaşımı

SQL'den veri paylaşmak için şunları kullanabilirsiniz:

• Microsoft Entra doğrulaması
• SQL kimlik doğrulaması

SQL'e veri almak için veri alma izinleri atamanız gerekir.

Paylaşmak için Microsoft Entra kimlik doğrulaması

Bu önkoşullar, Azure Veri Paylaşımı'ın Azure SQL Veritabanı bağlanabilmesi için ihtiyacınız olan kimlik doğrulamasını kapsar:

• SQL sunucusundaki veritabanlarına yazma izniniz olmalıdır: Microsoft.Sql/servers/databases/write. Bu izin Katkıda Bulunan rolünde vardır.
• SQL Server Microsoft Entra Yönetici izinleri.
• SQL Server Güvenlik Duvarı erişimi:
  1. Azure portalında SQL sunucunuza gidin. Sol gezinti bölmesinden Güvenlik duvarları ve sanal ağlar'ı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu sunucuya erişmesine izin ver için Evet'i seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değişebilir, bu nedenle portaldan bir sonraki veri paylaşımınızda istemci IP'nizi yeniden eklemeniz gerekebilir.
  4. Kaydet'i seçin.

Paylaşacak SQL kimlik doğrulaması

Kimlik doğrulamasını yapılandırmak için adım adım tanıtım videosunu izleyebilir veya şu önkoşulların her birini tamamlayabilirsiniz:

• SQL sunucusundaki veritabanlarına yazma izni: Microsoft.Sql/servers/databases/write. Bu izin Katkıda Bulunan rolünde vardır.

• Azure Veri Paylaşımı kaynağının yönetilen kimliğinin veritabanına erişme izni:

  1. Azure portalında SQL sunucusuna gidin ve kendinizi Microsoft Entra Admin olarak ayarlayın.

  2. microsoft entra kimlik doğrulaması ile Sorgu Düzenleyicisi veya SQL Server Management Studio kullanarak Azure SQL Veritabanı/Veri Ambarı'na bağlanın.

  3. Veri Paylaşımı kaynak Tarafından Yönetilen Kimlik'i db_datareader olarak eklemek için aşağıdaki betiği yürütebilirsiniz. SQL Server kimlik doğrulaması değil Active Directory kullanarak bağlanın.

     create user "<share_acct_name>" from external provider;     
     exec sp_addrolemember db_datareader, "<share_acct_name>"; 
     

     Not

     <share_acc_name>, Veri Paylaşımı kaynağınızın adıdır.

• 'db_datareader' erişimi olan bir Azure SQL Veritabanı Kullanıcısı, paylaşmak istediğiniz tablo veya görünümleri seçebilir.

• SQL Server Güvenlik Duvarı erişimi:

  1. Azure portalında SQL Server'a gidin. Sol gezinti bölmesinden Güvenlik duvarları ve sanal ağlar'ı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu sunucuya erişmesine izin ver için Evet'i seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değişebilir, bu nedenle portaldan bir sonraki veri paylaşımınızda istemci IP'nizi yeniden eklemeniz gerekebilir.
  4. Kaydet'i seçin.

SQL'de almak için kimlik doğrulaması

SQL sunucusunun Microsoft Entra yöneticisi olduğunuz bir SQL sunucusu için, veri paylaşımını kabul etmeden önce şu önkoşulları tamamlayın:

• Bir Azure SQL Veritabanı veya Azure Synapse Analytics (eski adıyla Azure SQL DW).
• SQL sunucusundaki veritabanlarına yazma izni: Microsoft.Sql/servers/databases/write. Bu izin Katkıda Bulunan rolünde vardır.
• SQL Server Güvenlik Duvarı erişimi:
  1. Azure portalında SQL sunucunuza gidin. Sol gezinti bölmesinden Güvenlik duvarları ve sanal ağlar'ı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu sunucuya erişmesine izin ver için Evet'i seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değişebilir, bu nedenle portaldan bir sonraki veri paylaşımınızda istemci IP'nizi yeniden eklemeniz gerekebilir.
  4. Kaydet'i seçin.

Microsoft Entra yöneticisi olmadığınız bir SQL sunucusu için, veri paylaşımını kabul etmeden önce şu önkoşulları tamamlayın:

Önkoşulları yapılandırmak için adım adım tanıtım videosunu veya aşağıdaki adımları izleyebilirsiniz.

• Bir Azure SQL Veritabanı veya Azure Synapse Analytics (eski adıyla Azure SQL DW).

• SQL sunucusundaki veritabanlarına yazma izni: Microsoft.Sql/servers/databases/write. Bu izin Katkıda Bulunan rolünde vardır.

• Veri Paylaşımı kaynağının yönetilen kimliğinin Azure SQL Veritabanı veya Azure Synapse Analytics'e erişme izni:

  1. Azure portalında SQL sunucusuna gidin ve kendinizi Microsoft Entra Admin olarak ayarlayın.

  2. microsoft entra kimlik doğrulaması ile Sorgu Düzenleyicisi veya SQL Server Management Studio kullanarak Azure SQL Veritabanı/Veri Ambarı'na bağlanın.

  3. Veri Paylaşımı Yönetilen Kimliği 'db_datareader, db_datawriter, db_ddladmin' olarak eklemek için aşağıdaki betiği yürütür.

     create user "<share_acc_name>" from external provider; 
     exec sp_addrolemember db_datareader, "<share_acc_name>"; 
     exec sp_addrolemember db_datawriter, "<share_acc_name>"; 
     exec sp_addrolemember db_ddladmin, "<share_acc_name>";
     

     Not

     <share_acc_name>, Veri Paylaşımı kaynağınızın adıdır.

• SQL Server Güvenlik Duvarı erişimi:

  1. Azure portalında SQL sunucusuna gidin ve Güvenlik duvarları ve sanal ağlar'ı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu sunucuya erişmesine izin ver için Evet'i seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değişebilir, bu nedenle portaldan bir sonraki veri paylaşımınızda istemci IP'nizi yeniden eklemeniz gerekebilir.
  4. Kaydet'i seçin.

Azure SQL'de ve Azure SQL'den paylaşım hakkında daha fazla bilgi için Azure SQL Veritabanı veri paylaşma ve alma makalesine bakın.

Azure synapse analytics paylaşımı

Paylaş

• Synapse çalışma alanında SQL havuzuna yazma izni: Microsoft.Synapse/workspaces/sqlPools/write. Bu izin Katkıda Bulunan rolünde vardır.

• Veri Paylaşımı kaynağının yönetilen kimliğinin Synapse çalışma alanı SQL havuzuna erişme izni:

  1. Azure portalında Synapse çalışma alanınıza gidin. Sol gezinti bölmesinden SQL Active Directory yöneticisi'ni seçin ve kendinizi Microsoft Entra yöneticisi olarak ayarlayın.

  2. Synapse Studio'yu açın, sol gezinti bölmesinde Yönet'i seçin. Güvenlik altında Erişim denetimi'ni seçin. Kendinize SQL yöneticisi veya Çalışma Alanı yöneticisi rolünü atayın .

  3. Synapse Studio'da sol gezinti bölmesinden Geliştir'i seçin. Veri Paylaşımı kaynak yönetilen kimliğini db_datareader olarak eklemek için SQL havuzunda aşağıdaki betiği yürütebilirsiniz.

     create user "<share_acct_name>" from external provider;     
     exec sp_addrolemember db_datareader, "<share_acct_name>"; 
     

     Not

     <share_acc_name>, Veri Paylaşımı kaynağınızın adıdır.

• Synapse çalışma alanı Güvenlik duvarı erişimi:

  1. Azure portalında Synapse çalışma alanına gidin. Sol gezinti bölmesinden Güvenlik duvarları'nı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu çalışma alanına erişmesine izin ver için ON'ı seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değişebilir, bu nedenle portaldan bir sonraki veri paylaşımınızda istemci IP'nizi yeniden eklemeniz gerekebilir.
  4. Kaydet'i seçin.

Al

• Azure Synapse Analytics (çalışma alanı) ayrılmış SQL havuzu. Sunucusuz SQL havuzuna veri alma şu anda desteklenmiyor.

• Synapse çalışma alanında SQL havuzuna yazma izni: Microsoft.Synapse/workspaces/sqlPools/write. Bu izin Katkıda Bulunan rolünde vardır.

• Veri Paylaşımı kaynağının yönetilen kimliğinin Synapse çalışma alanı SQL havuzuna erişme izni:

  1. Azure portalında Synapse çalışma alanına gidin.

  2. Sol gezinti bölmesinden SQL Active Directory yöneticisi'ni seçin ve kendinizi Microsoft Entra yöneticisi olarak ayarlayın.

  3. Synapse Studio'yu açın, sol gezinti bölmesinde Yönet'i seçin. Güvenlik altında Erişim denetimi'ni seçin. Kendinize SQL yöneticisi veya Çalışma Alanı yöneticisi rolünü atayın .

  4. Synapse Studio'da sol gezinti bölmesinden Geliştir'i seçin. Veri Paylaşımı kaynak yönetilen kimliğini 'db_datareader, db_datawriter, db_ddladmin' olarak eklemek için SQL havuzunda aşağıdaki betiği yürütebilirsiniz.

     create user "<share_acc_name>" from external provider; 
     exec sp_addrolemember db_datareader, "<share_acc_name>"; 
     exec sp_addrolemember db_datawriter, "<share_acc_name>"; 
     exec sp_addrolemember db_ddladmin, "<share_acc_name>";
     

     Not

     <share_acc_name>, Veri Paylaşımı kaynağınızın adıdır.

• Synapse çalışma alanı Güvenlik duvarı erişimi:

  1. Azure portalında Synapse çalışma alanına gidin. Sol gezinti bölmesinden Güvenlik duvarları'nı seçin.
  2. Azure hizmetlerinin ve kaynaklarının bu çalışma alanına erişmesine izin ver için ON'ı seçin.
  3. +İstemci IP'sini ekle'yi seçin. İstemci IP adresi değiştirilebilir. Azure portaldan SQL verilerini bir sonraki paylaşışınızda bu işlemin tekrarlanması gerekebilir.
  4. Kaydet'i seçin.

Azure Synapse analytics'e ve Azure Synapse Analytics'ten veri paylaşma ve bu analizden veri alma hakkında daha fazla bilgi için makaleye bakın .

MI izinlerini el ile atama

Bir kullanıcının kaynak veya hedef veri deposunda Microsoft.Authorization/role assignments/write izinleri varsa, azure Veri Paylaşımı Yönetilen kimliğine veri deposuyla kimlik doğrulaması için gereken izinleri otomatik olarak atar. Yönetilen kimlik izinlerini el ile de atayabilirsiniz.

İzinleri el ile atamayı seçerseniz, kaynak ve eylem temelinde azure Veri Paylaşımı kaynağınızın yönetilen kimliğine şu izinleri atayın:

Veri sağlayıcısı örneği

Depolama hesabından veri paylaştığınızda, veri paylaşımı kaynağının yönetilen kimliğine Depolama Blobu Veri Okuyucusu rolü verilir.

Bu, kullanıcı Azure portalı aracılığıyla veri kümesi eklediğinde ve kullanıcı Azure veri deposunun sahibi olduğunda veya Microsoft.Authorization/role assignments/write izni atanmış özel bir rolün üyesi olduğunda Azure Veri Paylaşımı hizmeti tarafından otomatik olarak gerçekleştirilir.

Alternatif olarak, kullanıcı Azure veri deposunun sahibinin veri paylaşımı kaynağının yönetilen kimliğini Azure veri deposuna el ile eklemesini sağlayabilir. Bu eylemin veri paylaşımı kaynağı başına yalnızca bir kez gerçekleştirilmesi gerekir.

Veri paylaşımı kaynağının yönetilen kimliği için el ile rol ataması oluşturmak için aşağıdaki adımları kullanın:

1. Azure veri deposuna gidin.

2. Erişim denetimi (IAM) öğesini seçin.

3. Rol ataması ekle'yi > seçin.

   

4. Rol sekmesinde, önceki bölümde yer alan rol atama tablosunda listelenen rollerden birini seçin.

5. Üyeler sekmesinde Yönetilen kimlik öğesini ve ardından Üye seç öğesini seçin.

6. Azure aboneliği seçin.

7. Sistem tarafından atanan yönetilen kimlik'i seçin, Azure Veri Paylaşımı kaynağınızı arayın ve ardından seçin.

8. Gözden geçirme + atama sekmesinde Gözden geçir + ata’yı seçerek rolü atayın.

Rol atamaları hakkında daha fazla bilgi edinmek için bkz . Azure portalını kullanarak Azure rolleri atama. REST API'lerini kullanarak veri paylaşıyorsanız, REST API kullanarak Azure rolleri atama bölümüne başvurarak API kullanarak rol ataması oluşturabilirsiniz.

SQL anlık görüntü tabanlı paylaşım için, Sql kullanıcısının Microsoft Entra kimlik doğrulamasını kullanarak SQL veritabanına bağlanırken Azure Veri Paylaşımı kaynağıyla aynı ada sahip SQL Veritabanı bir dış sağlayıcıdan oluşturulması gerekir. Bu kullanıcıya db_datareader izni verilmesi gerekir. SQL tabanlı paylaşım için diğer önkoşulların yanı sıra örnek betik, Azure SQL Veritabanı veya Azure Synapse Analytics'ten paylaşma öğreticisinde bulunabilir.

Veri tüketicisi örneği

Depolama hesabına veri almak için tüketici veri paylaşımı kaynağının yönetilen kimliğine hedef depolama hesabına erişim izni verilmesi gerekir. Veri paylaşımı kaynağının yönetilen kimliğine Depolama Blobu Veri Katkıda Bulunanı rolü verilmelidir. Bu, kullanıcı Azure portalı üzerinden bir hedef depolama hesabı belirtiyorsa ve kullanıcının uygun izni varsa Azure Veri Paylaşımı hizmeti tarafından otomatik olarak gerçekleştirilir. Örneğin, kullanıcı depolama hesabının sahibidir veya Microsoft.Authorization/role assignments/write izni atanmış özel bir rolün üyesidir.

Alternatif olarak, kullanıcının depolama hesabının sahibinin veri paylaşımı kaynağının yönetilen kimliğini depolama hesabına el ile eklemesini sağlayabilir. Bu eylemin veri paylaşımı kaynağı başına yalnızca bir kez gerçekleştirilmesi gerekir. Veri paylaşımı kaynağının yönetilen kimliği için el ile rol ataması oluşturmak için aşağıdaki adımları izleyin.

1. Azure veri deposuna gidin.

2. Erişim denetimi (IAM) öğesini seçin.

3. Rol ataması ekle'yi > seçin.

   

4. Rol sekmesinde, önceki bölümde yer alan rol atama tablosunda listelenen rollerden birini seçin. Örneğin, bir depolama hesabı için Depolama Blobu Veri Okuyucusu'mu seçin.

5. Üyeler sekmesinde Yönetilen kimlik öğesini ve ardından Üye seç öğesini seçin.

6. Azure aboneliği seçin.

7. Sistem tarafından atanan yönetilen kimlik'i seçin, Azure Veri Paylaşımı kaynağınızı arayın ve ardından seçin.

8. Gözden geçirme + atama sekmesinde Gözden geçir + ata’yı seçerek rolü atayın.

Rol atamaları hakkında daha fazla bilgi edinmek için bkz . Azure portalını kullanarak Azure rolleri atama. REST API'leri kullanarak veri alıyorsanız REST API kullanarak Azure rolleri atama bölümüne başvurarak API kullanarak rol ataması oluşturabilirsiniz.

SQL tabanlı hedef için, Sql kullanıcısının Microsoft Entra kimlik doğrulamasını kullanarak SQL veritabanına bağlanırken Azure Veri Paylaşımı kaynağıyla aynı ada sahip SQL Veritabanı bir dış sağlayıcıdan oluşturulması gerekir. Bu kullanıcıya db_datareader, db_datawriter db_ddladmin izni verilmesi gerekir. SQL tabanlı paylaşım için diğer önkoşulların yanı sıra örnek betik, Azure SQL Veritabanı veya Azure Synapse Analytics'ten paylaşma öğreticisinde bulunabilir.

Kaynak sağlayıcısı kaydı

Aşağıdaki senaryolarda Microsoft.DataShare kaynak sağlayıcısını Azure aboneliğinize el ile kaydetmeniz gerekebilir:

• Azure kiracınızda azure Veri Paylaşımı davetini ilk kez görüntüleme
• Azure Veri Paylaşımı kaynağınızdan farklı bir Azure aboneliğindeki Azure veri deposundan veri paylaşma
• Azure Veri Paylaşımı kaynağınızdan farklı bir Azure aboneliğindeki azure veri deposuna veri alma

Microsoft.DataShare kaynak sağlayıcısını Azure Aboneliğinize kaydetmek için bu adımları izleyin. Kaynak sağlayıcısını kaydetmek için Azure aboneliğine Katkıda Bulunan erişimine ihtiyacınız vardır.

1. Azure portalda Abonelikler sayfasına gidin.
2. Azure Veri Paylaşımı için kullandığınız aboneliği seçin.
3. Kaynak Sağlayıcıları'nda öğesini seçin.
4. Microsoft.DataShare'i arayın.
5. Kaydet'i seçin.

Kaynak sağlayıcısı hakkında daha fazla bilgi edinmek için Bkz . Azure kaynak sağlayıcıları ve türleri.

Veri Paylaşımı için özel roller

Bu bölümde, depolama hesabına özgü, verileri paylaşmak ve almak için özel roller içinde gerekli olan özel roller ve izinler açıklanmaktadır. Özel rolden veya Azure Veri Paylaşımı rolünden bağımsız önkoşullar da vardır.

Özel role ek olarak Veri Paylaşımı önkoşulları

• Depolama ve data lake anlık görüntü tabanlı paylaşım için Azure Veri Paylaşımı'a veri kümesi eklemek için sağlayıcı veri paylaşımı kaynağının yönetilen kimliğine kaynak Azure veri deposuna erişim izni verilmesi gerekir. Örneğin, depolama hesabı kullanıyorsanız veri paylaşımı kaynağının yönetilen kimliğine Depolama Blobu Veri Okuyucusu rolü verilir.
• Depolama hesabına veri almak için tüketici veri paylaşımı kaynağının yönetilen kimliğine hedef depolama hesabına erişim izni verilmesi gerekir. Veri paylaşımı kaynağının yönetilen kimliğine Depolama Blobu Veri Katkıda Bulunanı rolü verilmelidir.
• Bazı senaryolar için Microsoft.DataShare kaynak sağlayıcısını Azure aboneliğinize el ile kaydetmeniz de gerekebilir. Belirli ayrıntılar için bu makalenin Kaynak sağlayıcısı kaydı bölümüne bakın.

Özel roller ve gerekli izinler oluşturma

Verileri paylaşmak ve almak için bir abonelikte veya kaynak grubunda özel roller oluşturulabilir. Daha sonra kullanıcılara ve gruplara özel rol atanabilir.

• Özel rol oluşturmak için Depolama, Veri Paylaşımı, Kaynaklar grubu ve Yetkilendirme için gereken eylemler vardır. Farklı izin düzeylerini anlamak ve özel rolünüz için uygun olanları seçmek için Veri Paylaşımı için Azure kaynak sağlayıcısı işlemleri belgesine bakın.
• Alternatif olarak, Kullanılabilir eylemlerin listesini görmek için Azure portalını kullanarak IAM, Özel rol, İzin ekle, Arama, Microsoft.DataShare izinlerini arayabilirsiniz.
• Özel rol ataması hakkında daha fazla bilgi edinmek için Bkz . Azure özel rolleri. Özel rolünüz olduktan sonra, beklediğiniz gibi çalıştığını doğrulamak için bunu test edin.

Aşağıda, verileri paylaşmak ve almak için özel bir rol için gerekli eylemlerin JSON görünümünde nasıl listelendiği gösterilmektedir.

{
"Actions": [ 

"Microsoft.Storage/storageAccounts/read",  

"Microsoft.Storage/storageAccounts/write",  

"Microsoft.Storage/storageAccounts/blobServices/containers/read", 

"Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action",

"Microsoft.Storage/storageAccounts/listkeys/action",

"Microsoft.DataShare/accounts/read", 

"Microsoft.DataShare/accounts/providers/Microsoft.Insights/metricDefinitions/read", 

"Microsoft.DataShare/accounts/shares/listSynchronizations/action", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/read", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/write", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/delete", 

"Microsoft.DataShare/accounts/shareSubscriptions/*", 

"Microsoft.DataShare/listInvitations/read", 

"Microsoft.DataShare/locations/rejectInvitation/action", 

"Microsoft.DataShare/locations/consumerInvitations/read", 

"Microsoft.DataShare/locations/operationResults/read", 

"Microsoft.Resources/subscriptions/resourceGroups/read", 

"Microsoft.Resources/subscriptions/resourcegroups/resources/read", 

"Microsoft.Authorization/roleAssignments/read", 
 ] 
}

Sonraki adımlar

• Azure'daki roller hakkında daha fazla bilgi edinin - Azure rol tanımlarını anlama